IT Security Governance (Senior/Expert)

Ưu tiên theo rủi ro: chặn những con đường tấn công phổ biến nhất với chi phí thấp nhất trước.

Thứ tự hợp lý:

1. Kiểm kê tài sản và dữ liệu quan trọng: không biết có gì thì không bảo vệ được.
2. MFA cho email, VPN, tài khoản quản trị, cloud.
3. Quản lý bản vá, nhất là hệ thống lộ ra Internet.
4. Backup tách rời, có diễn tập khôi phục.
5. EDR trên máy trạm và server, log tập trung.
6. Đào tạo nhận diện phishing, quy trình báo cáo dễ dàng.

Đo lường: tỷ lệ tài khoản có MFA, thời gian vá lỗ hổng nghiêm trọng, thời gian phát hiện và xử lý sự cố, kết quả diễn tập.

Người phỏng vấn muốn nghe: nói được ngôn ngữ rủi ro kinh doanh với ban lãnh đạo.

Authentication trả lời "bạn là ai"; authorization trả lời "bạn được làm gì". Lỗi phân quyền (Broken Access Control) đứng đầu OWASP Top 10 trong các bản gần đây.

Lỗi hay gặp:

• IDOR: đổi /orders/123 thành /orders/124 xem được đơn người khác vì server không kiểm tra chủ sở hữu.
• Chỉ ẩn nút trên giao diện mà API vẫn cho gọi.
• Tin vào role gửi từ client.

Cách phòng:

• Kiểm tra quyền ở server cho mọi request, mặc định từ chối.
• Tập trung logic phân quyền vào một chỗ (middleware, policy).
• Viết test cho trường hợp người dùng A truy cập dữ liệu của B.

JWT là token tự chứa thông tin, server kiểm tra bằng chữ ký mà không cần tra DB; điểm yếu là khó thu hồi trước khi hết hạn.

• Luôn kiểm tra chữ ký với thuật toán cố định phía server; từ chối alg: none.
• Kiểm tra exp, iss, aud.
• Access token sống ngắn (vài phút), kèm refresh token có thể thu hồi và xoay vòng.
• Payload chỉ base64, ai cũng đọc được: không chứa dữ liệu nhạy cảm.
• Trên trình duyệt, cân nhắc cookie HttpOnly thay vì localStorage để giảm hậu quả nếu có XSS.
• Khoá ký đủ mạnh, quản lý trong secret manager.

Người phỏng vấn muốn nghe: hiểu đánh đổi giữa JWT và session lưu phía server.

SIEM thu thập log từ nhiều nguồn (firewall, endpoint, server, cloud, AD), chuẩn hoá, tương quan và sinh alert theo rule hoặc phát hiện bất thường.

Quy trình xử lý alert:

1. Triage: đọc alert, xác định tài sản và người dùng liên quan, mức độ quan trọng.
2. Điều tra: đối chiếu log xung quanh thời điểm, tra IOC (IP, hash, domain) với threat intel.
3. Kết luận: dương tính thật hay giả; ghi lại bằng chứng.
4. Leo thang theo playbook nếu là sự cố thật.
5. Tinh chỉnh rule nếu là báo động giả lặp lại.

Người phỏng vấn muốn nghe: ghi chép đầy đủ và biết khi nào cần leo thang thay vì tự xử lý.

Ý chính là "shift left": phát hiện lỗi sớm, tự động trong pipeline, nhưng không làm chậm team quá mức.

• Thiết kế: threat modeling cho tính năng nhạy cảm (thanh toán, đăng nhập).
• Code: SAST, quét secret ở pre-commit và CI.
• Phụ thuộc: SCA quét thư viện có lỗ hổng, cập nhật tự động; tạo SBOM.
• Build: quét image container, ký artifact.
• Chạy thử: DAST trên staging.
• Hạ tầng: quét IaC tìm cấu hình sai.

Chặn build chỉ với lỗi mức cao có thể khai thác; lỗi khác đưa vào backlog có hạn xử lý.

Hay sai: bật mọi công cụ với ngưỡng gắt, dev ngập báo động giả và tìm cách tắt.

Theo vòng đời ứng phó sự cố: chuẩn bị, phát hiện và phân tích, ngăn chặn, loại bỏ, khôi phục, rút kinh nghiệm.

1. Xác nhận và báo cáo theo quy trình, lập nhóm xử lý, ghi mốc thời gian.
2. Ngăn chặn: cô lập máy khỏi mạng nhưng không tắt nguồn vội, để giữ bằng chứng trong RAM.
3. Thu thập bằng chứng: snapshot đĩa, bộ nhớ, log; giữ chuỗi bảo quản.
4. Xác định phạm vi: tài khoản, máy khác, dữ liệu bị ảnh hưởng.
5. Loại bỏ và khôi phục: dựng lại từ image sạch, đổi toàn bộ credential liên quan, vá lỗ hổng gốc.
6. Sau sự cố: báo cáo, bổ sung rule phát hiện; thông báo theo nghĩa vụ pháp lý nếu lộ dữ liệu cá nhân.

Hay sai: chỉ xoá mã độc rồi dùng tiếp máy đó.

Zero Trust bỏ giả định "ở trong mạng nội bộ là tin cậy": mọi truy cập đều được xác thực, kiểm tra thiết bị và cấp quyền tối thiểu theo từng ứng dụng.

Lộ trình thực tế:

• Tập trung danh tính (SSO), bắt buộc MFA, ưu tiên loại chống phishing (passkey, FIDO2).
• Kiểm kê tài sản và ứng dụng, phân loại dữ liệu.
• Kiểm tra trạng thái thiết bị (đã mã hoá, đã vá, có EDR) trước khi cho truy cập.
• Thay VPN toàn mạng bằng truy cập theo từng ứng dụng qua access proxy.
• Phân đoạn mạng để hạn chế di chuyển ngang.
• Ghi log mọi truy cập và giám sát liên tục.

Người phỏng vấn muốn nghe: Zero Trust là chiến lược làm dần, không phải mua một sản phẩm.

Phần lớn sự cố cloud đến từ cấu hình sai và quản lý danh tính lỏng lẻo, không phải lỗ hổng của nhà cung cấp.

Lỗi nguy hiểm hay gặp:

• Bucket/storage để public, database mở ra Internet.
• Access key dài hạn bị lộ, quyền quá rộng.
• Tắt hoặc không bật log audit.

Biện pháp:

• IAM least privilege, ưu tiên role và credential ngắn hạn; MFA cho mọi người.
• Guardrail cấp tổ chức chặn cấu hình nguy hiểm.
• Bật log audit, đưa vào SIEM; dùng công cụ CSPM để phát hiện cấu hình sai liên tục.
• Mã hoá mặc định, quản lý khoá tập trung.
• Hạ tầng qua IaC có quét và review.

Người phỏng vấn muốn nghe: nắm mô hình trách nhiệm chung giữa bạn và nhà cung cấp.

"I'd say my greatest strength is ownership. When I take on a task, I make sure it works end to end, not just that the code is merged. For example, after releasing a new feature, I usually check the logs and metrics for the first few days. Last year this helped me catch a data issue early, before it affected many users."

Mẹo: một điểm mạnh kèm một ví dụ ngắn là đủ. Các từ hay dùng: "ownership", "attention to detail", "problem-solving", "fast learner". Nói "I'd say…" nghe tự nhiên hơn "My strong point is…".

Dùng STAR: Situation (bối cảnh), Task (nhiệm vụ), Action (bạn làm gì), Result (kết quả). Phần Action nên chiếm nhiều nhất.

Câu mẫu:

• S: "Lead muốn dùng một thư viện mới cho module báo cáo, em thấy thư viện đó còn ít người dùng và lo về bảo trì."
• T: "Em cần nêu rủi ro mà không làm chậm tiến độ."
• A: "Em gặp riêng anh, đưa so sánh hai phương án và đề xuất làm thử một bản nhỏ trong hai ngày để đánh giá."
• R: "Kết quả thử cho thấy thư viện cũ đáp ứng đủ, anh đồng ý giữ lại. Từ đó team có thói quen làm bản thử trước khi đổi công nghệ."

Người phỏng vấn muốn nghe: bạn tranh luận bằng dữ liệu, tôn trọng người khác, và chấp nhận quyết định cuối cùng kể cả khi không theo ý mình.